Вопрос №311 от 11.10.2013

Вопрос: Доброе время суток! В нашей компании (Центральный офис и 74 торговых комплекса) обрабатываются ПДн следующих субъектов: работников, состоящих в трудовых отношениях; кандидатов и соискателей на вакантные должности; субъектов, с которыми заключены договоры гражданско-правового характера; посетителей компании, не являющихся клиентами или контрагентами; клиентов компании, участников программы лояльности, которым компания реализует товары или оказывает услуги. Структура компании состоит из центрального офиса расположенного в Питере и многочисленных торговых центров в городах России. С целью контроля обработки ПДн для обеспечения их защиты в компании создана Комиссия по защите ПДн. В состав входят сотрудники центрального офиса. Так же есть Положение об обработке и защите персональных и Политика компании в отношении обработки персональных данных. Прошу помочь разобраться в следующем вопросе. Нужно ли в соответствии с действующим законодательством проводить организационно-технические мероприятия под названием "Защита персональных данных". Разработать "Комплект документации по приведению ИСПДн в соответствие с требованиями 152-ФЗ" для каждого филиала (торгвого комплекса) ? С уважением, Максим. (Максим)

Ответ: Добрый день, Максим!

Приносим свои извинения за столь долгое ожидание ответа.

Разработка комплекса мер (как организационных, так и технических) по вопросам обеспечения безопасности ПДн является обязательным, так как исполнение ФЗ-152 обязательно. К тому же, обрабатывая ПДн недолжным образом Вы сильно рискуете при любом проверочном мероприятии со стороны регуляторв, и еще больше в случае судебных разбирательств.

Комплект документации может быть частично общим. Например, "Положение по обеспечению безопасности ПДн при их обработке" может быть продублировано в Ваши филиалы, так же как инструкции администратору, пользователю, по антивирусной защите и т.д. С другой стороны, например, документ "Акт классификации", должен составляться на каждый филиал. Еще возможен вариант, что вы представите Вашу сеть как одну распределенную - в этом случае, необходимо для каждого сегмента (филиала) сети провести классификацию и установить общей сети наивысший класс.